基于行为的恶意代码检测技术课件讲义.pptx

1、1感谢你的欣赏2019-8-16传统的特征码检测技术 全浮动(无位置描述)更多的位置描述(格式分析,代码分析)更灵活的数据片断表示(？，*，RE)提取自病毒体，滞后于病毒出现 抗“特征”变化性有限 优点 缺点 精确，误报少 快速，静态分析2感谢你的欣赏2019-8-16u人类社会的“特征码”技术 指纹u 初犯，截取指纹，入档案。u 再犯，查对指纹，就可确定谁是犯人。人类社会的“特征码”技术3感谢你的欣赏2019-8-16人类社会如何判罪？把程序看成“人”制定适用于这些“人”的“法律”监视这个“人”的动作 整理、归纳收集到的信息 根据“法律”来判定“人”的好坏 行为分析就这样出现了!4感谢你的欣

2、赏2019-8-16行为分析的简单介绍5感谢你的欣赏2019-8-16恶恶 意意 行行 为为 库库行为分析模型组织层组织层组织，抽象信息判断层判断层按什么方式判定监控层监控层监视程序做了什么6感谢你的欣赏2019-8-16行为分析模型7感谢你的欣赏2019-8-16制定恶意行为库8感谢你的欣赏2019-8-16三层模型 判定层在满足需求的情况下，恶意行为如何判定？在满足需求的情况下，恶意行为如何判定？实现时考虑实现时考虑基于时序或者命中基于时序或者命中实时判定或者事后判定实时判定或者事后判定一般的实现方式一般的实现方式将组织层提供的数据与恶意行为库进行比对，判定被监控对象是将组织层提供的数据与

3、恶意行为库进行比对，判定被监控对象是否满足恶意行为。否满足恶意行为。判定层职能判定层职能9感谢你的欣赏2019-8-16三层模型 组织层在满足需求的情况下，怎样组织动作发起者？在满足需求的情况下，怎样组织动作发起者？怎样加工动作？怎样加工动作？需要记录什么？需要记录什么？实现时考虑实现时考虑按进程、线程或者代码块来组织；按进程、线程或者代码块来组织；文件创建文件创建 到到 自我复制；文件修改自我复制；文件修改 到到 文件感染；文件感染；记录创建和修改的文件；记录创建和修改的文件；一般的实现方式一般的实现方式组织存在关系的动作发起者；抽象恶意动作；记录其必要信息动组织存在关系的动作发起者；抽象恶

4、意动作；记录其必要信息动作。作。组织层职能组织层职能10感谢你的欣赏2019-8-16三层模型 组织层以进程以进程以线程以线程以代码块以代码块实现难度实现难度简单较简单复杂代码关系粒度代码关系粒度进程线程内存块精确度精确度低中高关系典型关系典型木马和它启动的进程木马和它在正常进程中启动的远程线程木马和它安装的API钩子11感谢你的欣赏2019-8-16三层模型 监控层在满足需求的情况下，在满足需求的情况下，底层技术技术实现。底层技术技术实现。实现时考虑实现时考虑环境模拟环境模拟 实时监控实时监控虚拟机和环境模拟虚拟机和环境模拟一般的实现方式一般的实现方式在满足需求的情况下，为上层收集程序动作。

5、在满足需求的情况下，为上层收集程序动作。监控层职能监控层职能12感谢你的欣赏2019-8-16三种监控层实现方式比较实时监控实时监控环境模拟环境模拟虚拟机虚拟机+环境模拟环境模拟运行方式运行方式真实运行真实运行虚拟运行运行速度运行速度快快慢执行深度执行深度完全视环境模拟程度视环境模拟程度危险性危险性危险较危险安全监控粒度监控粒度函数级函数级指令级,函数级实现复杂度实现复杂度简单视被模拟环境和需求视被模拟环境和需求产品化趋势产品化趋势动态检测与防御无静态检测产品化可行性产品化可行性高无低代表技术代表技术瑞星木马行为防御基于Wine的自动分析系统RS未知DOS病毒检测RS未知Win95病毒检测13

6、感谢你的欣赏2019-8-16技术优缺点分析优点优点检测率高检测率高可检测未知可检测未知后期维护代价小后期维护代价小缺点缺点依赖于程序执行依赖于程序执行过高的误报率过高的误报率反病毒行业的基本要求反病毒行业的基本要求 精确精确作为主要作为主要检测手段检测手段14感谢你的欣赏2019-8-16瑞星木马行为防御检测木马、蠕虫、后门等以进程为单位的恶意代码发现并可阻止恶意进程及其相关进程、相关文件15感谢你的欣赏2019-8-16制定恶意行为库u 恶意动作u 内置：自我复制，建立自启动关联，挂接全局自释放钩子等。u 可扩展：程序动作+约束（自定义特征）u 恶意行为u 多个不重复内置恶意动作，一组有先

7、后顺序的扩展恶意动作。16感谢你的欣赏2019-8-16木马行为防御的判定层实现u 针对进程集进行判定。u 实时比对，为每个进程集合创建并维护恶意行为库的匹配上下文。u 内置恶意动作发生即可，顺序无关。u 扩展恶意动作按顺序判定。17感谢你的欣赏2019-8-16木马行为防御的组织层实现u 相关进程集合（创建关系，释放关系）。u 忽略可见进程的程序动作。u 必要时将程序动作加工成恶意动作。u 记录程序创建或修改的文件。18感谢你的欣赏2019-8-16木马行为防御的监控层实现u 文件监控u 进程监控u 注册表监控u 关键API调用监控19感谢你的欣赏2019-8-16缺点的弥补20感谢你的欣赏2019-8-16优势的发挥21感谢你的欣赏2019-8-16未来要做什么22感谢你的欣赏2019-8-1623感谢你的欣赏2019-8-16Q&A&谢谢大家24感谢你的欣赏2019-8-16